一、侵犯公民个人信息40万是否构成犯罪

刑法修正案(七)在刑法第二百五十三条增加规定了出售、非法提供公民个人信息罪以及非法窃取公民个人信息罪。按照《刑法修正案(七)》第7条的规定，为了强化对公民个人信息安全的保护，在《刑法》第253条后增加一条，作为第253条之一(以下简称“本条”)，规定侵犯公民个人信息，情节严重的构成犯罪。这是对近年来日益严峻的公民个人信息被无端泄露的刑法回应。个人信息被不当采集、随意泄露、任意篡改、恶意使用乃至非法转卖牟利，不仅是对公民权益的严重侵害，而且一旦个人信息流人犯罪分子手中而引发盗窃、诈骗、绑架等刑事犯罪，会给公民造成二次甚至三次侵害，成为其他犯罪的源头犯罪。

长期以来，我国刑法更侧重对公共利益的保护，侧重对个人财产权、生命权的保护，而缺乏对公民个人信息、个人隐私的保护。从目前来看，侵害公民个人信息的行为已远非民事法律、行政法律所能抑制，因此，尽管我国尚未出台作为前置法的公民个人信息保护法，此次修正案依然将严重侵犯个人信息的行为人罪，以彰显对公民权利的保护。由于侵犯个人身份信息的主体、行为性质明显不同，可认为分别规定了“出售、非法提供公民个人信息罪”、“非法获取公民个人信息罪”。司法解释也作出了这样的罪名界定。

可见侵犯公民个人信息40万是构成侵犯公民个人信息罪的。

二、什么是个人信息和隐私

个人信息和隐私是或具有交叉关系、或互异、或包含的两个概念。隐私是指不被公众所知的，具有私密性。个人信息则是一个不可能进行周延的概念。从世界各国立法例来看，对个人信息的称谓并不一致，有的采用“个人资料”，有的采用“个人隐私”。目前主流的理论和观点认为，只要不是向不特定的社会公众公布，主体在将自己的某种个人信息向特定个人或群体披露后，对其他个人或群体仍然享有隐私权，如果其他人未经许可擅自公布其个人信息的，仍然构成隐私侵权。

应受到法律保护的个人信息应该具有以下几个特征：

1、该信息的主体为自然人；

2、该信息与其自然人主体有切身的利益关系，如关系到个人尊严、个人的社会生存利益；

3、该信息具有隐私性；

4、该信息需被除自己之外的单位或个人所掌握。

即在法律的层面上，探讨个人信息与隐私范围的话，应该承认受法律保护的个人信息应该是具有某种程度的隐私性、分别受相关不同阶层的法律的保护。

个人信息应该选择一种合理、科学的方法进行定义。欧洲多数立法针对个人数据(如欧盟1995年《数据保护指令》规定：“个人数据是指，与一个身份已被识别或者可被识别的自然人相关的任何信息。”)其采取的是抽象概括的方式，较为宽泛。该方法在法律认定时可能造成相当难度，所以在抽象概括的方式下，再进行列举较为合理。